Ernstig veiligheidsgat ontdekt op luchthavens

De bekende beveiligingsonderzoekers Ian Carroll en Sam Curry hebben ernstige kwetsbaarheden ontdekt in het FlyCASS-systeem. Dit is een webgebaseerd beheersysteem dat door kleinere luchtvaartmaatschappijen wordt gebruikt om het Known Crewmember (KCM) en Access Security System (CASS) te beheren.

Met het KCM-programma kan bevoegd vluchtpersoneel de reguliere veiligheidscontroles op luchthavens omzeilen, terwijl CASS de toegang tot de cockpit van vliegtuigen regelt. De kwetsbaarheid die door de onderzoekers werd ontdekt, stelt hackers in staat om in te loggen als beheerders via een zogenaamde SQL-injectieaanval, waarbij elke persoon als KCM kan worden toegevoegd of in CASS kan worden geregistreerd. In de praktijk zou dit onbevoegden in staat kunnen stellen om veiligheidscontroles te omzeilen en zelfs in de cockpit van een vliegtuig te komen. FlyCASS wordt voornamelijk gebruikt door Amerikaanse luchtvaartmaatschappijen. Het is onduidelijk of dit ook geldt voor Europese luchtvaartmaatschappijen.

FlyCASS is nu uitgeschakeld

Na hun alarmerende ontdekking stelden Carroll en Curry het Amerikaanse Ministerie van Binnenlandse Veiligheid (DHS) op de hoogte. Dit was op 24 april 2024, en een dag later bevestigde het ministerie dat het op zoek was naar een oplossing. FlyCASS werd op 5 juli 2024 uitgeschakeld, wat betekent dat de kwetsbaarheid meer dan twee maanden bleef bestaan nadat het DHS op de hoogte was gesteld.